XSS (Cross-Site Scripting) dans lakeFS (CVE-2026-48026)
Résumé
XSS dans lakeFS (CVE-2026-48026). Des informations confidentielles peuvent être exposées. Exploitable via README.md. Atténuation : mise à jour vers 1.81.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
lakeFS is an open-source tool that transforms object storage into a Git-like repositories. Prior to version 1.81.1 of the open source edition and 1.84.0 of the enterprise edition, lakeFS Web UI renders markdown files from repository objects without sanitizing the resulting HTML. A user with write access to any repository branch can commit a .md object containing arbitrary HTML/JavaScript. Any other user who opens that object, or who navigates to a repository or directory containing a malicious README.md, executes the attacker-supplied script in their own authenticated session. lakeFS fixes the issue in v1.81.1 and lakeFS Enterprise fixes the issue in in v1.84.0. Enterprise customers using older versions can temporarily disable Markdown rendering by adding YAML to their config. No workaround exists for OSS release. Users are advised to upgrade to the latest version for both lakeFS and lakeFS-Enterprise.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-48026 a été découverte dans CVE-2026-48026.
Des attaquants peuvent cibler un point d'entrée spécifique comme README.md à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.7/10.
Action : mettez à jour CVE-2026-48026 vers 1.81.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-48026 CVE-2026-48026 » sur le site de l'éditeur.
CVE-2026-48026 (CVE-2026-48026) — CWE-79 / CVSS v3 8.7
Vecteur d'attaque : distant (réseau)
Surface d'attaque : README.md
Versions affectées : <=1.81.0
Correctif : 1.81.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
lakeFSのWeb UIにおけるXSSの脆弱性。
バージョン1.81.1未満のオープンソースエディションおよび1.84.0未満のエンタープライズエディション。
任意のHTML/JavaScriptを実行可能であり、高度な権限を持つ攻撃を許す可能性がある。
lakeFSはv1.81.1、lakeFSエンタープライズはv1.84.0にアップデートする。
エンタープライズエディションにおいて、一時的にMarkdownレンダリングを無効化する設定を追加。
指定されたバージョン以下であれば影響を受ける。